- De GDID is een unieke en permanente identificatiecode die aan elke Windows-installatie wordt toegewezen en waarmee het apparaat kan worden getraceerd, ongeacht het IP-adres.
- Het was cruciaal voor de FBI om een cybercrimineel te identificeren door zijn activiteiten in verschillende landen en via verschillende diensten aan elkaar te koppelen, ondanks het gebruik van VPN's.
- Het kan niet worden uitgeschakeld via het instellingenpaneel en kan alleen worden gewijzigd door een volledige herinstallatie van het besturingssysteem.
Soms denken we dat we door het gebruik van een VPN op Windows of het verwijderen van cookies online onzichtbaar zijn, maar in werkelijkheid heeft Windows een trucje achter de hand waardoor we behoorlijk kwetsbaar zijn. We hebben het over de Global Device Identifier, of GDID , een soort digitale kentekenplaat die het besturingssysteem aan elke installatie toewijst en die tot voor kort een publiek geheim was dat Microsoft zorgvuldig verborgen hield.
Dit probleem is op de meest onverwachte manier aan het licht gekomen, namelijk via een FBI-dossier met betrekking tot de cybercriminele groep Scattered Spider. Wat begon als een strafrechtelijk onderzoek heeft een beerput aan privacy- en telemetriegegevens blootgelegd, waaruit blijkt dat Microsoft een apparaat kan volgen, zelfs als de gebruiker van land of internetverbinding verandert.
Wat is GDID precies?
Simpel gezegd is de GDID een permanente en unieke identificatiecode die direct gekoppeld is aan een specifieke Windows-installatie. Het is niet hetzelfde als een IP-adres, dat verandert afhankelijk van het netwerk, of een browsercookie, die je in een oogwenk kunt verwijderen. Het is een numerieke waarde waarmee Microsoft binnen zijn interne services de ene besturingssysteeminstallatie van de andere kan onderscheiden.
Het is belangrijk om te verduidelijken dat deze code zowel aan een fysieke computer als aan een virtuele machine kan worden gekoppeld . Sterker nog, als u drie verschillende computers met Windows hebt, hebt u drie verschillende GDID's, omdat de vingerafdruk niet van de gebruiker zelf is, maar van de systeemkopie die op de hardware is geïnstalleerd.
Hoe het wordt gegenereerd en waar het verborgen is
Aangezien Microsoft geen informatie heeft vrijgegeven of een gedetailleerde technische handleiding heeft gepubliceerd, moesten we onze toevlucht nemen tot reverse engineering en het analyseren van geavanceerd gebruikersverkeer . Volgens dit onderzoek begint het proces wanneer we het apparaat koppelen aan een Microsoft-account. Op dat moment neemt de wlidsvc- identiteitsservice contact op met de servers van het bedrijf om een Device PUID aan te vragen.
Dit nummer, een 64-bits waarde die op afstand wordt toegewezen , wordt opgeslagen in het Windows-register, specifiek in het pad HKCUSOFTWAREMicrosoftIdentityCRLExtendedProperties onder de naam LID. Nadat het is opgeslagen, neemt de Connected Devices Platform- service het over en registreert het in de Microsoft Device Directory, waarbij een "g" aan het begin wordt toegevoegd om het de uiteindelijke indeling GDID te geven.
De sleutel tot het vangen van een hacker
Het gevaar van dit systeem werd aangetoond bij de arrestatie van Peter Stokes , een vermeend lid van Scattered Spider. Hij probeerde zijn sporen te wissen met behulp van proxy's en VPN's uit verschillende landen, maar de GDID was het aanknopingspunt dat de FBI volgde. Agenten ontdekten dat, hoewel het IP-adres veranderde, de apparaat-ID steeds hetzelfde bleef wanneer hij diensten zoals ngrok, Snapchat of Facebook gebruikte.
- GDID maakte het mogelijk om verbindingspunten te leggen tussen een IP-adres in Tallinn, Estlanden nog een in New York.
- De activiteiten van het team waren gekoppeld aan toegang tot accounts van Apple en Ubisoft.
- De persistentie van de code maakte de creatie van een mogelijk exacte tijdlijn van de bewegingen van de verdachte.
Het meest verontrustende aspect is dat deze tracker systeemupdates overleeft. Er is maar één manier waarop de GDID kan veranderen: door een volledige herinstallatie van Windows . Als de gebruiker echter opnieuw inlogt met hetzelfde account, kan Microsoft de nieuwe installatie opnieuw koppelen aan de vorige met behulp van andere ecosysteemgegevens.
Het debat over privacy en het gebrek aan transparantie.
Hier gaat het mis. Terwijl Android en iOS duidelijke opties bieden om de advertentie-ID te beheren, is de GDID in Windows praktisch onzichtbaar . Er is geen knop in het instellingenpaneel om deze te bekijken, te resetten of, nog beter, uit te schakelen. Microsoft heeft er slechts zeer vaag naar verwezen in de Azure Monitor-documentatie en het behandeld als interne data.
Veel cybersecurity-experts hebben dit gedrag omschreven als regelrechte surveillancesoftware. Het probleem is niet dat het systeem een ID nodig heeft om licenties of updates te beheren, maar dat het wordt gebruikt om netwerkactiviteit over verschillende IP-adressen en tijdstippen te correleren zonder de expliciete en duidelijke toestemming van de gebruiker.
Hoe kunnen we deze tracking beperken?
Als u zich zorgen maakt over de hoeveelheid gegevens die Windows naar Redmond verzendt, kunt u een aantal stappen ondernemen, hoewel deze niet waterdicht zijn. De meest effectieve optie is om een lokaal account te gebruiken in plaats van een Microsoft-account. Dit vermindert de directe koppeling met uw online identiteit, hoewel de GDID mogelijk nog steeds anoniem bestaat.
Het is ook raadzaam om naar Instellingen > Privacy en beveiliging te gaan en alles uit te schakelen wat te maken heeft met optionele diagnostiek, gepersonaliseerde advertenties en het zoeken naar content in de cloud. Voor degenen die met extreem gevoelige informatie werken, zoals journalisten of activisten, is de enige echte oplossing overstappen op Linux en via Tor browsen, aangezien een commerciële VPN niet voldoende is om GDID te omzeilen.
Dit digitale tagsysteem laat zien dat absolute privacy in Windows-omgevingen een utopie is, aangezien het besturingssysteem is ontworpen om een constante verbinding met zijn servers te onderhouden. De onthulling dat een verborgen identificatiecode de anonimiteit van een VPN kan ondermijnen, benadrukt de enorme transparantiekloof tussen wat de gebruiker denkt te controleren en wat Microsoft daadwerkelijk monitort.